Consultatie voorontwerp Implementatiewet registratie uiteindelijk belanghebbenden Reactie VNO-NCW en MKB-Nederland 5 mei 2017

Transcriptie

1 Consultatie voorontwerp Implementatiewet registratie uiteindelijk belanghebbenden Reactie VNO-NCW en MKB-Nederland 5 mei 2017 Bijlage 1 NOTITIE 1 INLEIDING 1.1 Doel van deze notitie Onlangs hebben de ministers van Financiën, Economische Zaken en Veiligheid en Justitie de conceptregeling voor de Implementatiewet registratie uiteindelijk belanghebbenden ("Wetsvoorstel") gepubliceerd. Het Wetsvoorstel implementeert Richtlijn EU 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 (de "Vierde anti-witwasrichtlijn"). VNO-NCW en MKB- Nederland hebben ons gevraagd te adviseren over de verenigbaarheid van het Wetsvoorstel met de grondrechten privacy en bescherming van persoonsgegevens van uiteindelijk belanghebbenden. In deze notitie beschrijven wij achtereenvolgens het grondrechtelijk kader en recente uitspraken die de grondrechten op privacy en bescherming van persoonsgegevens aanzienlijk verstevigen en beoordelen wij de verenigbaarheid van het Wetsvoorstel met deze grondrechten van uiteindelijk belanghebbenden. 1.2 Conclusie In een aantal recente uitspraken hebben Europese mensenrechtenhoven de vereisten voor gerechtvaardigde inbreuken op de grondrechten privacy en de bescherming van persoonsgegevens verscherpt. Op grond daarvan zijn er sterke aanwijzingen dat de Vierde anti-witwasrichtlijn zelf een ongerechtvaardigde inbreuk op deze grondrechten maakt. Het Wetsvoorstel breidt de aard en de omvang van de gegevensregistratie zelfs uit. Het is dientengevolge aannemelijk dat het Westvoorstel een disproportionele inbreuk maakt op de grondrechten van uiteindelijk belanghebbenden. 2 PRIVACY EN BESCHERMING PERSOONSGEGEVENS 2.1 Grondrechtelijk kader De grondrechten privacy en de bescherming van persoonsgegevens zijn verankerd in artikel 8 van het Europees Verdrag voor de Rechten van de Mens ("EVRM"), en afzonderlijk van elkaar in artikel 7 en artikel 8 van het Grondrechtenhandvest van de EU ("EU-Handvest") Iedere inmenging op deze grondrechten moet (i) bij wet voorzien zijn, (ii) een legitiem belang dienen en (iii) strikt noodzakelijk zijn in een democratische 1 / 6

2 samenleving. 1 Dit laatste criterium valt uiteen in een lange reeks deelcriteria, waarvan in verband met het Wetsvoorstel de vereisten van proportionaliteit en subsidiariteit de belangrijkste zijn. Het vereiste van proportionaliteit verplicht tot een nauwkeurige belangenafweging tussen de inbreuk en het beoogde doel. Bij die belangenafweging spelen het aantal personen dat wordt getroffen door de inbreuk, de effectiviteit van de inbreuk en deugdelijke motivering een centrale rol. Het vereiste van subsidiariteit houdt volgens de Hoge Raad in dat "het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwerkelijkt." Recente aanscherpingen in Europese jurisprudentie In de afgelopen jaren zijn de grondrechten privacy en bescherming van persoonsgegevens aanzienlijk verstevigd in enkele baanbrekende uitspraken voor de Europese mensenrechtenhoven: het Europees Hof voor de Rechten van de Mens ("EHRM") en het Hof van Justitie van de Europese Unie ("HvJ"). Sinds de inwerkingtreding van het EU-Handvest in 2009 interpreteert vooral het HvJ het grondrecht op bescherming van persoonsgegevens zeer strikt in een reeks uitspraken die direct relevant zijn voor het Wetsvoorstel. Deze recente jurisprudentie heeft op Europees en nationaal niveau geleid tot een versteviging van de grondrechten op privacy en bescherming van persoonsgegevens. (a) (b) In oktober 2016 verklaarde het Franse Constitutionele Hof een nationale wet waarbij een openbaar trustregister werd ingesteld ter voorkoming van witwassen en fiscale fraude ongrondwettelijk. Volgens het Franse Hof had de wetgever de openbaarmaking van gegevens over o.a. de trustee, trustor en het geregistreerde vermogen onvoldoende gerechtvaardigd, en ook nagelaten de kring van personen die toegang kregen tot het register te beperken. 3 Op grond daarvan oordeelde het Constitutionele Hof dat de Franse wet disproportioneel was ten opzichte van het beoogde doel van de wet, en dus onverenigbaar was met de privacy van uiteindelijk belanghebbenden. In 2014 vernietigde het HvJ integraal de EU-richtlijn Bewaarplicht Telecomgegevens voor antiterrorisme- en opsporingsdoeleinden. 4 De Europese wetgever had de verplichte bewaring van bel- en internetgegevens van iedere Europese burger onvoldoende gerechtvaardigd, de effectiviteit stond niet vast en de richtlijn bevatte 1 Het EHRM heeft het vereiste van noodzakelijkheid en de onderliggende deelcriteria nauwkeurig omschreven in EHRM, Silver a.o. v. The United Kingdom, 25 maart 1983, appl. no. 5947/72, nr Zie ook HR 9 september 2011, par. 4.5, ECLI:NL:PHR:2011:BQ Conseil Constitutionnel, 21 octobre 2016, Décision no QPC, para. 6: "Dès lors, les dispositions contestées portent au droit au respect de la vie privée une atteinte manifestement disproportionnée au regard de l objectif poursuivi" 4 HvJ Digital Rights Ireland, 8 april 2014, C-293/12 en C-594/12. 2 / 6

3 onvoldoende privacy- en beveiligingswaarborgen tegen misbruik en hergebruik van de opgeslagen gegevens. (c) In 2010 vernietigde het HvJ (gedeeltelijk) EU Council Regulation 1290/2005, waarin een centraal register met de ontvangers van landbouwsubsidies werd gecreëerd. 5 Het HvJ erkende het belang van fraudebestrijding en stond registratie van rechtspersonen in dat kader toe, maar niet de registratie van natuurlijke personen, omdat de Europese wetgever de effectiviteit en subsidiariteit van de registratie niet kon bewijzen. 2.3 European Data Protection Supervisor: Europese wetgeving in strijd met grondrechten Volgens de op 2 februari 2017 gepubliceerde formele Opinie van de European Data Protection Supervisor ("EDPS") voldoet de verplichte registratie van uiteindelijk belanghebbenden op basis van de Europese wetgeving niet aan het vereiste van proportionaliteit. Volgens de EDPS is de Europese wetgeving, waaronder de Vierde anti-witwasrichtlijn, in strijd met de grondrechten op privacy en de bescherming van persoonsgegevens. De EDPS signaleert de volgende cruciale knelpunten: 6 (a) De Europese wetgeving maakt geen onderscheid tussen registratie van persoonsgegevens voor terrorismebestrijding, en fraudebestrijding, en koppelt aan deze verschillende doeleinden geen gedifferentieerde registratie van persoonsgegevens en toegangsbevoegdheden. (b) Toegang tot de gevoelige persoonsgegevens van uiteindelijk belanghebbenden is niet beperkt tot opsporingsdiensten. In tegendeel: een brede en onvoldoende afgebakende groep personen heeft toegang tot deze gegevens. Daarnaast is de toegang van deze afnemers tot deze gegevens niet beperkt tot situaties waarin sprake is van een concrete verdenking. (c) Een gedegen analyse van de subsidiariteit van de privacy-inbreuk ontbreekt. Onder verwijzing naar vaste jurisprudentie van het HvJ, signaleert de EDPS dat in het bijzonder een analyse ontbreekt of terrorisme- en fraudebestrijding niet nagestreefd kunnen worden door informatie over uiteindelijk belanghebbenden alleen en direct te delen met opsporingsdiensten, in plaats van deze gegevens te registreren in 5 HvJ Schecke, 9 november 2010, C-92/09 en C-93/09. 6 European Data Protection Supervisor, Opinion on a Commission Proposal amending Directive (EU) 2015/849 and Directive 2009/101/EC - Access to beneficial ownership information and data protection implications, Opinion 1/2017, 2 februari 2017, p / 6

4 een centraal register waar vele verschillende partijen toegang toe hebben Strenge vereisten voor rechtvaardiging registratie uiteindelijk belanghebbenden Op basis van de hiervoor genoemde recente jurisprudentie is verplichte en ongedifferentieerde registratie (of opslag) van persoonsgegevens vanuit een grondrechtelijk perspectief niet zonder meer geoorloofd. De lat voor de rechtvaardiging van de inbreuk op de privacy en bescherming van persoonsgegevens zoals voorzien in het Wetsvoorstel - in het bijzonder de proportionaliteit en subsidiariteit van de voorgestelde maatregelen - ligt dus bijzonder hoog. 3 WETSVOORSTEL ONVERENIGBAAR MET PRIVACY EN BESCHERMING PERSOONSGEGEVENS UITEINDELIJK BELANGHEBBENDEN 3.1 Wetsvoorstel voorziet in vergaande uitbreiding gegevensregistratie Net als de Vierde anti-witwasrichtlijn, identificeert het Wetsvoorstel geen specifieke risicogroepen of -sectoren. Het Wetsvoorstel verplicht rechtspersonen daarentegen iedere uiteindelijk belanghebbende te registreren. Daarnaast kan het Wetsvoorstel een impact hebben op de persoonlijke levenssfeer van honderdduizenden, zo niet miljoenen Nederlanders, aangezien op 1 september B.V.'s geregistreerd stonden in het Handelsregister. 8 Zowel de aard als de omvang van de inbreuk op de privacy en bescherming van persoonsgegevens is dus significant Bovendien kiest de wetgever niet voor een minimale implementatie van de Europese wetgeving, maar gaat het Wetsvoorstel op essentiële onderdelen verder dan de Vierde anti-witwasrichtlijn. Zo kiest het Wetsvoorstel voor een (deels) openbaar register en breidt het de te registreren persoonsgegevens uit. 3.2 Aannemelijk dat Wetsvoorstel een ongerechtvaardigde inbreuk vormt op privacy en bescherming persoonsgegevens Door de beleidskeuzes van de wetgever vormt het Wetsvoorstel een verdergaande inbreuk op de privacy en bescherming van persoonsgegevens van uiteindelijk belanghebbenden dan de Europese wetgeving. De meest evidente knelpunten in het Wetsvoorstel zijn de volgende: (a) De beleidskeuze voor een (deels) openbaar register zonder noemenswaardige toegangsbeperkingen staat op gespannen voet met 7 Zie o.m. HvJ Österreichischer Rundfunk, 20 mei 2003, C-465/00, C-138/01 en C-139/01, para Kamer van Koophandel, cijfers van 1 september / 6

5 de door het HvJ vereiste proportionaliteit en subsidiariteit. 9 Op grond van de uitspraak HvJ Digital Rights Ireland had de EU-wetgever de criteria voor toegang en de categorieën afnemers tot verplicht geregistreerde gegevens moeten beperken, maar het Wetsvoorstel gaat met de keuze voor openbaarheid nog verder. Zo vervallen de op zichzelf minimale toegangsbeperkingen uit de richtlijn en hoeft een afnemer in Nederland niet eens aan te tonen voor welk doeleinde hij het centrale register raadpleegt. (b) (c) (d) De beleidskeuze voor het handelsregister kan commercieel hergebruik van geregistreerde persoonsgegevens mogelijk maken. Dit op gespannen voet met het vereiste van proportionaliteit: de persoonsgegevens zijn niet voor dit doel verzameld en zulk hergebruik kan onrechtmatige raadpleging en misbruik van geregistreerde gegevens in de hand werken. 10 Een gedegen analyse van de effectiviteit en subsidiariteit van de verplichte en ongedifferentieerde registratie van de gegevens in het handelsregister ontbreekt. Het Wetsvoorstel lijkt deze keuze alleen te rechtvaardigen met het argument dat de groep potentiële afnemers van de informatie toch al "groot en divers" is, dus dat de impact inherent aan een register dat voor iedereen toegankelijk "aanzienlijk kleiner is dan op het eerste gezicht lijkt." 11 Er wordt geen informatie gegeven waaruit blijkt dat het uitblijven van openbaarheid heeft geleid tot het frustreren van legitieme terrorisme- en fraudebestrijding. Statistieken die aantonen dat een dergelijke openbaarheid kan leiden tot effectieve opsporing van strafbare feiten of praktijkvoorbeelden ontbreken. Uit het Wetsvoorstel en de toelichting blijkt dus niet waarom minder ingrijpende methoden dan een openbaar register vol gevoelige persoonsgegevens van uiteindelijk belanghebbenden niet zouden volstaan. 12 Waar de lat voor de inbreuk op de grondrechten in het Wetsvoorstel bijzonder hoogt ligt (zie par ), ontbreekt de rechtvaardiging van die inbreuk. Het Wetsvoorstel voorziet in extra categorieën van te registreren persoonsgegevens, in plaats van de te registreren gegevens strikt te limiteren tot het minimum aan gegevens dat de Vierde anti-witwasrichtlijn 9 HvJ Digital Rights Ireland, 8 april 2014, C-293/12 en C-594/12, para HvJ Digital Rights Ireland, 8 april 2014, C-293/12 en C-594/12, para. 54 en 66. Daarnaast is commercieel hergebruik van de geregistreerde gegevens onverenigbaar met de Wet bescherming persoonsgegevens vanwege schending van het doelbindingsbeginsel, omdat data die is verzameld voor het ene doel (terrorisme- en fraudebestrijding) gebruikt zal worden voor een ander doel (marketingdoeleinden). Zie European Data Protection Supervisor, Opinion on a Commission Proposal amending Directive (EU) 2015/849 and Directive 2009/101/EC - Access to beneficial ownership information and data protection implications, Opinion 1/2017, 2 februari 2017, p MvT, p. 14 en Zoals vereist door het HvJ in HvJ Österreichischer Rundfunk, 20 mei 2003, C-465/00, C-138/01 en C- 139/01, para / 6

6 voorschrijft. Het Wetsvoorstel komt niet verder dan een "inschatting" welke gegevens de Financiële Inlichtingen Eenheid en meldingsplichtige entiteiten nodig zullen hebben en de "uitvoerbaarheid voor de Kamer van Koophandel." 13 Deze inschatting voldoet niet aan het vereiste van "strikte noodzaak" uit de vaste jurisprudentie van het EHRM en het HvJ. 14 Deze keuze en het ontbreken van een expliciete rechtvaardiging van deze extra set aan te registreren gegevens staat op gespannen voet met de vereisten van proportionaliteit, subsidiariteit en effectiviteit. (e) Het Wetsvoorstel voorziet niet in specifieke en toereikende beveiligingsvereisten voor het register, maar schrijft slechts een beveiligingsprotocol voor zonder nadere eisen te stellen aan de vertrouwelijkheid en integriteit van de te registreren gegevens. Het HvJ is van oordeel dat specifieke en toereikende beveiligingseisen moeten worden opgenomen in hetzelfde wetgevingsinstrument waarin de plicht is opgenomen om gevoelige gegevens te registeren. 15 Dit voorkomt gemakzucht en economische kosten-batenanalyses die het risico op onrechtmatige toegang en misbruik van de persoonsgegevens vergroten De EDPS concludeert dat de Europese wetgeving die ten grondslag ligt aan het Wetsvoorstel de inbreuk op de grondrechten onvoldoende rechtvaardigen. 16 Het Nederlandse Wetsvoorstel gaat verder dan deze Europese wetgeving. De wetgever lijkt zich aldus geen rekenschap te geven van verscherpte vereisten die vooral de Europese mensenrechtenhoven stellen aan verplichte en ongedifferentieerde opslag van persoonsgegevens. Concluderend achten wij het, gelet op de hiervoor genoemde jurisprudentie en argumenten, aannemelijk dat het Wetsvoorstel zoals dat nu voorligt een ongerechtvaardigde inbreuk vormt op de privacy en bescherming van persoonsgegevens van uiteindelijk belanghebbenden. 13 MvT, p Zie voetnoot 2 en HvJ Digital Rights Ireland, 8 april 2014, C-293/12 en C-594/12, para Zie voetnoot 6. 6 / 6